Mercado Bitcoin 称已拦截逾 1,600 万美元，计划 11 月 9 日分阶段恢复网站

Mercado Bitcoin 的公开承认确立了平台安全事件，而不只是无法解释的转账或单个客户账户被盗。11 月 2–3 日声明未披露入侵入口、失陷软件版本、最终财务影响或恢复期限；下文 11 月 4 日计划现给出网站查看目标日期。本次可读声明没有给出公开补丁，也没有要求用户重置密码。

Bitquery 报告 10 条链上的热钱包资金转出，并称充值地址扫款持续至交易所宣布迅速遏制之后。其估算未经独立核实：部分来源钱包归属依赖标签、行为及时间判断，尤其是 Solana、Tron 和 Stellar。修订后的 4,860 万美元按转账时价格计算，不含无价格的代币；其中 121 万美元来自交易稀少的 EVA 代币，报告给出去除它后约 4,740 万美元的数字。两者都不是交易所确认的最终损失。

修订后的 36,042 个以太坊充值地址是地址数量，不是独立客户人数。地址签署转账不能区分私钥被盗和签名服务遭滥用。研究关于主密钥及共享供应商的推测仍是假设，不是已确定原因；较早报告的另组 29.8 万美元转出及 BitMart 标签，也不能证明 BitMart 被攻破或事件共用供应商。

Bitquery 的 11 月 3 日修订将冻结估算由 730 万美元提高至 1,140 万美元，涉及 Tether、Circle、Paxos、Agora 和 Ripple；Circle 此前“尚未冻结”的观察已过时。冻结不等于返还，资金留在钱包也不等于一定可追回。分项均有取整，不能当成已审计总额。交易所的客户保障及遏制说法仍是厂商声明，与研究人员的观察分开。没有证据证明本事件与币安事件有关。

统计更正： 研究称早期混入了仿冒垃圾转账地址，扫款起点由 12:10 修正为 11 月 2 日 12:27 UTC，截止 16:56 UTC，约比官方 12:56 UTC 声明晚四小时。BNB Chain 另有 143 个地址向疑似攻击者转账，其中 42 个也在以太坊扫款集合中；不能跨链相加为独立客户。研究称一个带交易所标签的 BNB Chain 钱包持续转出至 18:08 UTC，但该归属仍依赖研究判断。

11 月 3 日版研究的以太坊观察截至当日 08:49 UTC，其他链核查时间为 08:49–10:05 UTC。它还报告跨链兑换及新增接收地址，但不能据此确定入侵入口、主密钥泄露或共享供应商失陷。11 月 2 日的早期统计保留在时间线，已被本次修订取代。

11 月 3 日另一组资金流更新： Bitquery 将与 Mercado Bitcoin 钱包无关联的较早资金流，从 29.8 万美元扩展至约 39.1 万美元。研究新增 Base 钱包在 11 月 2 日 20:20 UTC 起约六分钟内转出 80 种代币，以及次日上午其中 45 种被出售、约值 8.5 万美元的观察。39.1 万美元是另组资金流总估算，不能再加上其 29.8 万美元子集，也不能计入 Mercado Bitcoin 的 4,860 万美元。研究以地址标签及 2024 年与 BitMart 储备证明钱包的小额往来推断归属；此前核查尚未验证 BitMart 回应；下文 11 月 5 日跟进取代该回应状态，具体钱包控制权仍未确认。Base 上另有约 66,283 USDC 冻结，也不属于 Mercado Bitcoin 的冻结统计。所有这些金额和归属仍未经独立核实。

11 月 3 日公司更新： 公开完整原帖现确认整个平台及应用仍暂停，直到公司确认安全恢复；不必重装应用或更换设备。厂商称受影响资产当前价值约 3,630 万美元，已拦截约 1,290 万美元，并保证客户资产及余额记录。后续原帖计划按功能通过安全检查后分阶段恢复，逐步预告可用服务及限制，尚无期限。这些是公司声明，不是已独立核对客户余额、已返还资金或已完成恢复。3,630 万美元采用当前估值，不能与 Bitquery 按转账时价格估算的 4,860 万美元直接互换；1,290 万美元拦截与研究的 1,140 万美元冻结来自不同声明及观察时点。公司未解释所有统计差异，不能相加、相减或据此算出净损失。

11 月 4 日研究修订： Bitquery 将冻结估算提高至 1,180 万美元，包括称由 Circle 于 00:55 UTC 冻结的以太坊剩余 EURC。研究称 11 月 3–4 日出售 136 种代币、约值 1,190 万美元，换得 4,804 ETH；截至 10:02 UTC，十个以太坊钱包共持有 8,678 ETH，其他链核查时间为 10:02–10:08 UTC。这些仍未经独立核实。1,190 万美元是代币出售规模，不是新增被盗或追回金额。冻结不等于返还；保留公司另称拦截 1,290 万美元及受影响资产当前价值 3,630 万美元的说法，不据此对账或相减。本次修订未确立平台重开或入侵入口。更新记录共 18 个地址，包含另组未经确认、带 BitMart 标签的资金流，不能并入 Mercado Bitcoin 损失。

11 月 4 日公司更新： 交易所现称已拦截逾 1,500 万美元，取代此前 1,290 万美元快照，并承诺用自有资金补足受影响资产。这与 Bitquery 冻结 1,180 万美元及按转账价估算被盗 4,860 万美元分开；公司此前按现价估算的 3,630 万美元仍作为历史记录保留。不能相加、相减推导净损失，也不能把拦截视为已返还资产。尚未证明客户赔付已完成。

计划自 11 月 9 日起先开放网站，第一阶段只可查看余额、对账单、资产及投资。转账、提现及交易须各模块通过最终安全验证后再开放，未给出完整重开日期。这取代此前没有恢复日期的状态，不取代资金转移暂停或入口不明的事实。

同一组公司原帖称各环境及交易流程正在接受独立测试，调查仍在继续。交易台正在准备国内及国际市场回购，不能据此证明已完成购入或储备已足额。补足余额须随服务开放后才可用于交易或提现。

11 月 5 日研究及 BitMart 回应： Bitquery 将 Mercado Bitcoin 覆盖从十条链扩大至十一条链，新增 308 个 Base 充值地址，称其在三分钟内转出约 1.6 万美元。抽查的 92 个地址中有 33 个也在以太坊被清扫，存在重叠，不能当作独立客户数。Mercado Bitcoin 估算仍为 4860 万美元。应结合报告完整钱包表区分各地址角色；其可见表格未给出 Base 清扫接收地址的完整编号。有效签名仍不能区分私钥被盗或签名服务被滥用。

另一组 BitMart 关联流现估算约 42.4 万美元，替代此前 39.1 万美元，不能计入 Mercado Bitcoin 总额。创始人 Sheldon Xia 的 11 月 3 日原始帖文可读开头确认 BitMart 前一天遭入侵，只称金额较小；这纠正了本文此前尚未核实其回应的状态。公开嵌入截断后续文字，不能据此推断具体损失、客户影响或恢复承诺。原始帖文没有验证 Bitquery 的具体钱包标签或共同供应商假说。Bitquery 明确说明 11 月 5 日重读遗漏清扫记录时没有刷新持仓，8678 ETH 等持仓仍是 11 月 4 日快照。11 月 9 日网站查看计划、转账暂停及公司自行补足承诺继续适用。

11 月 6 日官方 FAQ： 交易所现称已拦截逾 1,600 万美元，取代此前 1,500 万美元快照。拦截不是追回或赔付。保留的客户余额记录代表权益，补足资产及计划回购属于另一项尚未完成的工作。FAQ 补充上方订单取消及投资款入账步骤；11 月 9 日初期仍只可从网站查看，交易模块及账户修改尚未恢复。它称仅热钱包受影响、BRL 余额保留，没有确立入口机制或最终损失总额。

11 月 5 日更正研究： Teiten 按转账当时小时价格估计 4,910 万美元，其中高置信度归属 3,360 万、中等置信度 1,070 万、仅按时间推断 480 万。其 36,104 个以太坊发送地址包含 11 个地址投毒仿冒地址，不是确认的 36,104 名客户。约 1,200 万美元发行方冻结额与公司后续超 1,600 万阻断说法、Bitquery 的 4,860 万损失／1,180 万冻结快照分开，不能相加减制造净损失。报告撤回并更正了 11 月 3 日版本，原版误将共用服务合约列为攻击者钱包，并低估发送地址和冻结总额。它不能确定私钥还是签名服务受侵，也未确认共用供应商。三次转账的追踪范围外另人工加入一个第四跳，不能据此排除后续兑现。

11 月 6 日 FAQ 范围修订： 时间为 23:33:33 UTC 的第 8 版从两处首阶段查看清单中移除对账单。上方保留 11 月 4 日公告作为历史指引；当前 11 月 9 日清单为余额、资产及投资。不要承诺可导出对账单，也不能由该遗漏推断单独恢复日期。转账、交易及账户修改仍按上文暂停。